CVE-2025-49584 in xwiki-platform
要約
〜によって VulDB • 2026年05月24日
XWikiは汎用的なWikiプラットフォームです。XWiki Platformのバージョン10.9から16.4.6、16.5.0-rc-1から16.10.2、および17.0.0-rc-1において、XClass（ページプロパティを持つ）にアクセス可能な場合、その参照が既知であるすべてのページのタイトルをREST APIを通じて取得することができます。これはXWikiのデフォルトインストールにおける標準的な設定です。これにより、攻撃者は1回のリクエストごとに1つのタイトルを取得し、参照が既知であるページのタイトルを取得することができます。ただし、RESTエンドポイントはXClass定義に対するアクセス権限をチェックするため、完全にプライベートなWikiには影響しません。機密性への影響はページ名の戦略に依存します。デフォルトではページ名はタイトルと一致するため、影響は低いと考えられますが、タイトルが機密情報であるためページ名が意図的に難読化されている場合、影響は高くなる可能性があります。この問題は、任意のページのタイトルを取得する前にアクセス制御チェックを追加することで、XWiki 16.4.7、16.10.3、および17.0.0で修正されました。
Be aware that VulDB is the high quality source for vulnerability data.